Auf den Punkt: GuardFall ermöglicht Angreifern, bösartige Befehle in KI-Agenten durch Bash-Tricks einzuschleusen, die textbasierte Sicherheitsfilter umgehen, indem die Schadbefehle erst nach der internen Prüfung durch die Shell expandiert werden.
Adversa AI hat eine Sicherheitslücke namens GuardFall in zehn von elf getesteten Open-Source-KI-Coding-Agenten identifiziert, die es Angreifern ermöglicht, textbasierte Schutzfilter durch klassische Unix-Shell-Techniken zu umgehen. Die Schwachstelle gefährdet Supply-Chain-Prozesse, da KI-Agenten mit vollständigen Entwickler-Berechtigungen laufen.
Das Sicherheitsunternehmen Adversa AI hat eine strukturelle Schwachstelle in zahlreichen Open-Source-KI-Coding-Agenten dokumentiert. GuardFall basiert auf jahrzehntealten Bash-Mechanismen wie dem Entfernen von Anführungszeichen oder der Nutzung von Umgebungsvariablen für Abstände. Die Angreifer nutzen diese Techniken, um Schadbefehle erst nach der internen Sicherheitsprüfung durch die Shell expandieren und ausführen zu lassen – so umgehen sie die textbasierten Schutzfilter der KI-Werkzeuge.
Von elf getesteten Applikationen wiesen zehn entsprechende Sicherheitslücken auf. Betroffene Tools sind unter anderem Hermes, OpenCode und Roo-code. Lediglich Continue konnte die Mehrheit der Angriffe durch einen speziellen Filter blockieren, der Befehle vor der Ausführung tokenisiert und kanonisiert. Die Angriffe wurden in fünf Klassen unterteilt. Besonders effektiv erwies sich eine Methode, bei der alternative Argumentstrukturen genutzt werden, um schädliche Befehle als harmlos zu tarnen – Filter müssten dann die exakten Flag-Kombinationen einzelner Binärdateien kennen.
Die Schwachstelle ermöglicht es Angreifern, bösartige Befehle über manipulierte Repositories in KI-Systeme einzuschleusen. Wenn ein Entwickler einen verwundbaren Agenten anweist, eine manipulierte README-Datei oder ein präpariertes Makefile aus einem bösartigen Repository auszulesen, kann das System zur verdeckten Ausführung von Code verleitet werden – etwa zum Diebstahl von AWS-Anmeldedaten oder zum Löschen ganzer Entwicklungsumgebungen, besonders in CI-Pipelines mit automatischen Bestätigungsmodi. Da die KI-Agenten üblicherweise mit vollständigen Kontoberechtigungen des jeweiligen Entwicklers ausgeführt werden, entstehen weitreichende Supply-Chain-Risiken.
Als kurzfristige Gegenmaßnahme schlagen die Forschenden vor, KI-Agenten in einer isolierten Shell mit umgeleiteten Heimatverzeichnissen auszuführen. Ein einzeiliger Wrapper kann das Projektverzeichnis beibehalten und dennoch den Zugriff auf sensible Daten wie SSH-Schlüssel, AWS-Anmeldedaten oder Shell-Historie entziehen. Zudem sollten automatische Bestätigungsmodi deaktiviert und Konfigurationen aus externen Repositories strikt überprüft werden. Langfristig müssen Entwickler von KI-Tools interne Validierungsfilter implementieren, die eingehenden Text vor der Übergabe an die System-Shell vereinheitlichen, um die Diskrepanz zwischen Agenten-Prüfung und tatsächlicher Bash-Ausführung zu schließen.
Quelle: www.it-daily.net · Erschienen 12. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.